سرقت ۶.۳۴ میلیارد دلاری از بایننس؛ حمله پیچیده هکرهای کره شمالی با استفاده از هوش مصنوعی و مهندسی اجتماعی

گروه هکری کره شمالی که با نام TraderTraitor شناخته می‌شود، در یک عملیات چند مرحله‌ای و بسیار پیچیده، موفق شد بیش از ۶.۳۴ میلیارد دلار دارایی دیجیتال را از پلتفرم Binance سرقت کند. طبق گزارش‌های منتشر شده، این گروه نه تنها از روش‌های سنتی فیشینگ، بلکه از تکنیک‌های پیشرفته‌ای نظیر سوءاستفاده از ابزارهای هوش مصنوعی (AI) داخلی و مهندسی اجتماعی (Social Engineering) برای نفوذ به زیرساخت‌های حساس کیف پول استفاده کرده است.

مراحل نفوذ و زنجیره حمله

این حمله با یک حمله زنجیره تأمین (Supply Chain Attack) آغاز شد. در ژوئن ۲۰۲۶، یکی از مهندسان DevOps در بخش کیف پول، هنگام جستجو برای یک ابزار کدنویسی هوش مصنوعی، یک بسته مخرب Homebrew را نصب کرد. اگرچه بایننس دستگاه مذکور را تعویض و اعتبارنامه‌ها (Credentials) را بازنشانی کرد، اما مهاجم پیش از آن هویت مهندسان فعال در زیرساخت‌های کیف پول را شناسایی کرده بود.

در مرحله بعد، مهاجمان از روش مهندسی اجتماعی استفاده کردند. یک مهندس دیگر از طریق پلتفرم‌های کاری با یک مدیر پروژه جعلی در ارتباط قرار گرفت. پس از چندین مرحله مصاحبه شغلی جعلی که برای جلب اعتماد طراحی شده بود، از مهندس خواسته شد تا یک فایل “تسک آزمایشی” را روی سیستم کاری خود اجرا کند. این فایل حاوی یک بدافزار زیرو دِی (Zero-day) بود که توانست از ابزارهای Endpoint عبور کرده و ردپای خود را پاک کند.

سوءاستفاده از هوش مصنوعی و اکسپلویت‌های زنجیره‌ای

در مرحله بحرانی، مهاجم با استفاده از کامپیوتر آلوده و یک ابزار هوش مصنوعی داخلی، توانست به دو مهندس دیگر دسترسی پیدا کند. یکی از این مهندسان دارای یک توکن استقرار کانتینر (Container Deployment Token) بود. با استفاده از این توکن، مهاجم توانست یک کانتینر مخرب مستقر کرده و اسکریپت‌های خود را اجرا کند.

بخش فنی و پیچیده این سرقت، استفاده از ویژگی EIP-7702 در شبکه اتریوم بود. این ویژگی به یک حساب اجازه می‌دهد تا برخی از حقوق اجرایی خود را بدون افشای کلید خصوصی (Private Key) به یک قرارداد هوشمند واگذار کند. مهاجم با ارسال تراکنش‌های امضا، موفق شد کیف پول را به سمت کد مخرب خود هدایت کند. به دلیل استفاده بایننس از پروتکل Multi-Party Computation (MPC)، لغو سریع این دسترسی بسیار دشوار بود.

اقدامات اصلاحی و درس‌های امنیتی

بایننس برای مقابله با این وضعیت، فرآیند ویژه‌ای را برای لغو این واگذاری (Delegation) از طریق مجوزدهی به آدرس صفر (Zero Address) اجرا کرد. این شرکت اعلام کرده است که ۹۸ درصد از توکن‌های آسیب‌دیده را جبران کرده و سیستم‌های کیف پول و ابزارهای هوش مصنوعی خود را بازسازی کرده است.

• توصیه امنیتی: هرگونه پیشنهاد شغلی که از شما می‌خواهد کد اجرایی را روی سیستم کاری اجرا کنید، یک تهدید جدی محسوب می‌شود.
• مدیریت دسترسی: توکن‌های استقرار (Deployment Tokens) نباید روی لپ‌تاپ‌های مهندسان نگهداری شوند.
• کنترل ابزارها: دسترسی ابزارهای هوش مصنوعی داخلی به منابع حساس باید به شدت محدود شود.

به‌روزرسانی (نوامبر 3, 2026 — WIRED)

به‌روزرسانی: بررسی‌های تکمیلی نشان می‌دهد که ریشه این حمله به ماه ژوئن بازمی‌گردد؛ زمانی که یکی از مهندسان پس از یک مصاحبه شغلی جعلی، یک نسخه دستکاری‌شده از ابزار Homebrew را دانلود کرد. این نفوذ اولیه، مسیر را برای پیشروی هکرها در شبکه فراهم کرد.

عاملان تهدید با سوءاستفاده از یک ابزار هوش مصنوعی (AI tool) داخلی، موفق شدند به سرویس امضای کیف پول (wallet signing service) دسترسی پیدا کنند و تراکنش‌هایی را خارج از فرآیندهای معمول برداشت انجام دهند. حمله اصلی در تاریخ ۲۹ اکتبر رخ داد.

گزارش‌ها حاکی از آن است که تقریباً نیمی از دارایی‌های سرقت‌شده توسط فعالان صنعت کریپتو مسدود (frozen) شده‌اند، اما تلاش‌ها برای پولشویی مبالغ باقی‌مانده همچنان ادامه دارد.

به‌روزرسانی (نوامبر 4, 2026 — The Register)

به‌روزرسانی: گزارش تفصیلی بایننس نشان می‌دهد که این حمله یک عملیات چندمرحله‌ای و پیچیده بوده که از ژوئن تا اکتبر ادامه داشته است. عامل تهدید (Threat Actor) ابتدا از طریق یک حمله زنجیره تأمین (Supply Chain Attack) و نصب نسخه آلوده Homebrew، شناسیت مهندسان تیم زیرساخت کیف پول را به دست آورد. سپس در ماه سپتامبر، با استفاده از یک پلتفرم معتبر کاریابی، مهندس دیگری را از طریق مصاحبه‌های شغلی جعلی هدف قرار داد. در این مرحله، مهاجمان برای جلب اعتماد، از تماس‌های ویدئویی با نمایندگان جعلی HR و اشتراک‌گذاری عکس‌های شخصی استفاده کردند تا قربانی را متقاعد کنند یک «تکلیف برنامه‌نویسی» را دانلود کند.

از نظر فنی، کد دانلود شده توسط مهندس، ابزار توسعه pyenv را با یک نسخه مخرب جایگزین کرد تا ارتباطی با سرور کنترل (C2) مهاجم برقرار شود. این بدافزار به گونه‌ای طراحی شده بود که توسط ابزارهای Endpoint Security شناسایی نشود. در ادامه، مهاجمان در ۲۰ اکتبر با بهره‌برداری از ابزارهای داخلی هوش مصنوعی (Internal AI Tools)، توانستند جابجایی جانبی (Lateral Movement) انجام داده و به سیستم‌های مهندسان DevOps و توسعه‌دهندگان دیگر دسترسی پیدا کنند.

در مرحله نهایی، عامل تهدید توکن دسترسی برای استقرار کانتینر (Container Deployment Token) را از سیستم یکی از مهندسان سرقت کرد. در نهایت در ۲۹ اکتبر، مهاجم با استفاده از سیستم مهندس سوم و توکن سرقت شده، یک کانتینر مخرب را مستقر کرده و اسکریپت سرقت ارزهای دیجیتال را اجرا نمود. بایننس اعلام کرده است که تمامی سیستم‌های کیف پول و ابزارهای AI آلوده را بازسازی کرده و تمامی توکن‌ها و دسترسی‌های مربوطه را ابطال نموده است.